Oltre 300.000 email, più di 40.000 aziende colpite: i criminali usano inviti di calendario e finte riunioni Teams per rubare le password Microsoft 365. Non serve nessuna falla.
Quanti inviti a riunioni accettate in una settimana senza pensarci? Su questa abitudine si regge una campagna di phishing che Check Point Research segue da mesi. Le email uniche intercettate sono 302.386 e hanno raggiunto più di 40.000 organizzazioni. Lo scopo è uno solo: rubare le credenziali Microsoft 365 dei dipendenti.
Due esche, nessuna falla
Il primo metodo usa un file .ics allegato. È il formato standard degli appuntamenti: il client di posta lo legge e può inserire la riunione nel calendario da solo. Il file è valido, quindi molti filtri lo lasciano passare. Il secondo metodo è un link che sembra l'invito a una riunione Teams, ma porta a una finta pagina di accesso Microsoft. Chi inserisce la password la consegna direttamente agli attaccanti. Secondo i ricercatori non c'è nessuna vulnerabilità di Teams, di Outlook o del formato .ics da correggere: i criminali usano funzioni del tutto normali.
Numeri in crescita veloce
Ad aprile si parlava di qualche migliaio di email al mese. A settembre erano più di 118.000, con un picco il 25. Nelle prime due settimane di ottobre si è superata quota 740.000. Gli invii partono da 247.270 indirizzi diversi su 33.890 domini: bloccare i mittenti uno per uno non serve a molto. C'è anche un aspetto poco intuitivo. In alcuni casi l'email finisce in quarantena, ma l'appuntamento resta nel calendario, con il link dentro. E un promemoria che compare dieci minuti prima della riunione ispira molta più fiducia di un messaggio sospetto.
Cosa guardare
La difesa più semplice è anche la più noiosa. Prima di cliccare, passare il mouse sul link e leggere il dominio vero: un invito Teams autentico porta a indirizzi Microsoft, non a siti sconosciuti. Se una riunione arriva da un mittente che non conoscete, o nessun collega ne sa niente, meglio chiedere. Una riunione che vi chiede di fare di nuovo il login è già un campanello d'allarme. Per le aziende contano poi le impostazioni: limitare l'aggiunta automatica al calendario degli inviti esterni e usare un'autenticazione a più fattori resistente al phishing, cioè chiavi di sicurezza o passkey, che non si possono inserire su un sito falso.
Fonte: Cyber Security 360
La tua azienda è pronta ad affrontare una minaccia come questa?
Richiedi una valutazione gratuita →
Il calendario è l'ultimo posto dove ci si aspetta una trappola, ed è proprio per questo che funziona. Nelle simulazioni di phishing che organizzo per le aziende, le persone ormai controllano il mittente di una mail strana. Su un appuntamento già in agenda, con l'icona di Teams e l'orario giusto, quasi nessuno ha lo stesso riflesso. In pratica la riunione è già stata accettata, prima ancora di aprire qualcosa. La formazione di solito si concentra sulla posta e lascia fuori tutto il resto: secondo me da qui in avanti gli inviti vanno trattati con la stessa attenzione delle email.
Sul fronte tecnico ammetto che non c'è una soluzione pulita. Con decine di migliaia di domini diversi le blacklist arrivano sempre tardi, e bloccare del tutto gli inviti esterni non va bene per chi lavora con clienti e fornitori. Il compromesso che consiglio più spesso: rivedere le impostazioni di Microsoft 365 sugli inviti esterni e passare almeno gli account più esposti a chiavi FIDO2 o passkey. Così anche chi abbocca non consegna niente di utile. Credo che lo stesso schema passerà presto ad altri strumenti che usiamo ogni giorno, come Google Calendar, Zoom o le notifiche di condivisione dei documenti. Gli inviti saranno sempre più credibili e i filtri impareranno a leggerli, come è successo con le email, ma ci vorrà tempo.